Irlandia karze Google'a 403 mln euro za dane o lokalizacji. To pierwsza duża kara dla firmy

Co zdecydował regulator

Grzywna, około 463 mln dol., jest czwartą najwyższą karą, jaką nałożyła DPC, i pierwszą dużą karą wobec Google'a, podało POLITICO. Wchodzi w skład ponad 4 mld euro grzywien nałożonych przez DPC od wejścia w życie RODO w 2018 r. W tej sumie jest 1,2 mld euro kary dla Mety, prawie trzy razy wyższej niż grzywna dla Google'a.

Poza pieniędzmi DPC nakazała Google'owi doprowadzić przetwarzanie danych o lokalizacji do zgodności z przepisami w ciągu sześciu miesięcy, podał Reuters. Grzywny nie można wyegzekwować, dopóki nie potwierdzi jej irlandzki sąd, a Google może odwołać się do High Court w ciągu 28 dni od formalnego zawiadomienia, podała DPC. Google twierdzi, że sprawa dotyczy historycznych zasad, które od tego czasu zaktualizowano. Rzecznik powiedział Reutersowi, że firma zamierza się odwołać, żeby „uzyskać większą jasność prawną w kilku konkretnych punktach”.

Ustalenia dotyczą działań zakończonych w lutym 2020 r.

Dlaczego w centrum jest targetowanie reklam

DPC stwierdziła naruszenia przepisów RODO o zgodnym z prawem i uczciwym przetwarzaniu oraz o przejrzystości w przypadku funkcji Web & App Activity i Location History. Uznała też, że Google przechowywał dane o lokalizacji dłużej, niż było to konieczne, w obu tych funkcjach. Zastępca komisarza DPC Graham Doyle powiedział, że użytkownicy mogli nie wiedzieć, iż ich lokalizacja służy na przykład do wpływania na nich reklamami albo do wnioskowania o ich zainteresowaniach, i mogliby stracić kontrolę nad swoimi danymi osobowymi.

W przypadku Location Accuracy, funkcji Androida dostępnej z kontem Google lub bez niego, ustalenia były węższe. Google naruszył tam obowiązki w zakresie przejrzystości i rozliczalności, bo nie potrafił wykazać, że przetwarzanie jest zgodne z prawem, uczciwe i przejrzyste.

DPC nie podała publicznie, jakiego przetwarzania dotyczy jej nakaz. Zapowiedziała, że pełna decyzja zostanie opublikowana później.

Co Google twierdzi, że już zmienił

W maju 2019 r., w badanym okresie, Google ogłosił mechanizmy automatycznego usuwania danych dla Location History i Web & App Activity. Użytkownicy mogli usuwać te dane po 3 albo 18 miesiącach. W czerwcu 2020 r. firma ustawiła 18-miesięczne automatyczne usuwanie jako domyślne dla Web & App Activity na nowych kontach i dla wszystkich, którzy po raz pierwszy włączali Location History.

W grudniu 2023 r. Google podał, że Timeline, widok Location History w Mapach, będzie przechowywać dane na urządzeniach użytkowników. Osoby włączające Location History po raz pierwszy miały dostać domyślne 3-miesięczne automatyczne usuwanie. Google twierdzi, że od 2019 r. znacznie rozwinął swoje praktyki i uruchomił narzędzia do zarządzania danymi o lokalizacji. DPC nie powiedziała publicznie, czy te zmiany wystarczą, żeby spełnić jej nakaz.

Sześć i pół roku od wszczęcia postępowania do decyzji

DPC wszczęła postępowanie w lutym 2020 r. po skargach europejskich organizacji konsumenckich, w tym BEUC. Organizacje członkowskie BEUC złożyły skargi do krajowych urzędów w listopadzie 2018 r. Badany okres biegł od 25 maja 2018 r., gdy RODO weszło w życie, do 4 lutego 2020 r., czyli dnia, w którym DPC ogłosiła postępowanie.

Decyzja zapadła ponad 6,5 roku po wszczęciu postępowania. Dyrektor generalny BEUC Agustín Reyna przyjął ją z zadowoleniem, ale skrytykował opóźnienie. „Późne egzekwowanie prawa może szkodzić tak samo jak całkowity brak egzekwowania”, powiedział.

Co dalej

DPC ma otwarte trzy inne formalne postępowania wobec Google'a: dotyczą modelu AI PaLM2, systemu reklam personalizowanych i procesu rejestracji kont. Regulator podaje, że wszystkie trzy są w końcowej fazie.